Chrome : Google corrige un 4e zero-day exploité en 2026

Google vient de publier une mise à jour d'urgence pour son navigateur, corrigeant la quatrième faille zero-day activement exploitée depuis le début de l'année. Le Chrome zero-day CVE-2026-5281, signalé par le Threat Analysis Group, confirme que le navigateur reste la cible privilégiée des attaquants cherchant un point d'entrée initial sur les postes de travail. Cette cadence de vulnérabilités exploitées avant correctif impose aux équipes de sécurité une discipline de patch management resserrée, où le délai entre publication et déploiement se compte désormais en heures plutôt qu'en semaines. Pour les organisations disposant d'un parc étendu, l'enjeu dépasse la simple mise à jour technique : il s'agit de vérifier la couverture réelle du déploiement, d'identifier les postes hors gestion et d'intégrer la télémétrie navigateur à la supervision. Cet article détaille la vulnérabilité, son exploitation observée et les mesures de remédiation prioritaires.

Ce qui s'est passé

Le 1er avril 2026, Google a poussé une mise à jour hors cycle pour Chrome Desktop (Stable channel) afin de corriger la vulnérabilité CVE-2026-5281, un bug de type use-after-free dans Dawn, la bibliothèque open source qui implémente le standard WebGPU au sein de Chromium. Selon la base NVD du NIST, cette faille « permettait à un attaquant distant ayant compromis le processus de rendu d'exécuter du code arbitraire via une page HTML spécialement conçue ».

C'est le quatrième zero-day Chrome activement exploité depuis le début de l'année 2026, après les CVE ciblant Skia, V8 et le moteur de rendu. Google a confirmé l'existence d'un exploit fonctionnel circulant dans la nature, sans révéler les détails techniques des attaques observées ni l'identité des attaquants, conformément à sa politique de divulgation responsable.

Les versions affectées sont celles antérieures à 146.0.7680.177 pour Linux et 146.0.7680.177/178 pour Windows et macOS. Dawn étant un composant partagé du projet Chromium, d'autres navigateurs comme Edge, Brave ou Opera sont également vulnérables et doivent être mis à jour dès que leurs éditeurs publient leurs propres correctifs.

Pourquoi c'est important

WebGPU est un standard relativement récent mais en adoption croissante, utilisé pour le gaming dans le navigateur, l'inférence de modèles de machine learning côté client et la visualisation de données. En ciblant Dawn, les attaquants visent une surface d'attaque en pleine expansion qui touche potentiellement des milliards d'utilisateurs de navigateurs Chromium. La fréquence des zero-days exploités en 2026 — quatre rien que pour Chrome — témoigne d'une intensification de la recherche offensive sur les composants graphiques et GPU des navigateurs.

Pour les entreprises, chaque zero-day non corrigé représente une fenêtre d'exposition critique. Les équipes sécurité doivent s'assurer que leurs politiques de déploiement de correctifs navigateur permettent une mise à jour sous 24 heures pour les vulnérabilités activement exploitées, conformément aux recommandations de l'ANSSI et du CISA.

Ce qu'il faut retenir

• Mettez à jour Chrome vers la version 146.0.7680.177 (Linux) ou 146.0.7680.178 (Windows/macOS) sans délai.
• Vérifiez également les mises à jour de Edge, Brave et tout navigateur basé sur Chromium dans votre parc.
• Activez les mises à jour automatiques de Chrome et supervisez leur déploiement effectif via votre outil de gestion de parc (Intune, SCCM, etc.).